Duas vulnerabilidades foram identificadas em várias implementações do protocolo DNSSEC, afetando os resolvedores DNS BIND, PowerDNS, dnsmasq, Knot Resolver e Unbound. Essas vulnerabilidades podem causar negação de serviço nos resolvedores DNS que realizam validações com DNSSEC, devido ao gerenciamento excessivo da CPU, prejudicando o processamento de outras solicitações. Para realizar o ataque, basta enviar ao resolvedor DNS que utiliza DNSSEC uma solicitação que aciona uma zona DNS especialmente formatada no servidor do invasor.
Problemas identificados:
- CVE-2023-50387 (nome de código KeyTrap) – o acesso a zonas DNS especialmente formatadas causa negação de serviço devido à criação de uma carga significativa na CPU e à execução prolongada da verificação DNSSEC. Para realizar o ataque, é necessário hospedar em um servidor DNS sob controle do invasor uma zona de domínio com configurações maliciosas, além de conseguir que um servidor DNS recursivo acesse essa zona, cuja negação de serviço é o objetivo do atacante.
As configurações maliciosas consistem em usar uma combinação de chaves que conflitantes entre si, registros RRSET e assinaturas digitais para a zona. A tentativa de verificação utilizando essas chaves resulta na execução de operações prolongadas e intensivas em recursos, que podem sobrecarregar completamente a CPU e bloquear o processamento de outras solicitações (por exemplo, afirma-se que durante um ataque ao BIND, o processamento de outras solicitações foi interrompido por 16 horas).
- CVE-2023-50868 (nome de código NSEC3) – negação de serviço devido à execução de cálculos significativos ao calcular hashes em registros NSEC3 (Next Secure v3) ao processar respostas DNSSEC especialmente formatadas. O método do ataque é semelhante à primeira vulnerabilidade, exceto que um conjunto especialmente formatado de registros NSEC3 RRSET é criado no servidor DNS do invasor.
Observa-se que o surgimento das vulnerabilidades mencionadas é causado pela definição na especificação DNSSEC da possibilidade de o servidor DNS enviar todas as chaves criptográficas disponíveis, enquanto os resolvedores devem processar quaisquer chaves recebidas até que a verificação seja concluída com sucesso ou todas as chaves recebidas sejam verificadas.
Como medida para bloquear vulnerabilidades em resolvedores, o número máximo de chaves DNSSEC utilizadas no processo de construção da cadeia de confiança é limitado, assim como o número máximo de cálculos de hashes para NSEC3, além de serem restringidas as tentativas de verificação para cada RRSET (combinações de chaves e assinaturas) e cada resposta. servidor.
As vulnerabilidades foram corrigidas nas atualizações do Unbound (1.19.1), PowerDNS Recursor (4.8.6, 4.9.3, 5.0.2), Knot Resolver (5.7.1), dnsmasq (2.90) e BIND (9.16.48, 9.18.24 e 9.19.21). O status da correção das vulnerabilidades nas distribuições pode ser avaliado nas seguintes páginas: Debian, Ubuntu, SUSE, RHEL, Fedora, Arch Linux, Gentoo, Slackware, NetBSD, FreeBSD.
Nas versões do servidor DNS BIND 9.16.48, 9.18.24 e 9.19.21, foram corrigidas ainda mais algumas vulnerabilidades:
- CVE-2023-4408 — a análise de grandes mensagens DNS pode levar a uma alta carga na CPU.
- CVE-2023-5517 — uma solicitação de zona reversa especialmente formatada pode causar um encerramento inesperado devido à ativação da verificação assert. O problema se manifesta apenas em configurações com a opção ‘nxdomain-redirect’ ativada.
- CVE-2023-5679 — a definição recursiva de um host pode resultar em um encerramento inesperado devido à ativação da verificação assert em sistemas com suporte habilitado para DNS64 e ‘serve-stale’ (opções stale-cache-enable e stale-answer-enable).
- CVE-2023-6516 — consultas recursivas especialmente formatadas podem levar ao esgotamento da memória disponível para o processo.
Fonte: opennet.ru
